¿Qué VRF alcanza al par de VPN y cuál transporta el paquete?

Cada túnel dentro de un contexto de enrutamiento de cliente sigue teniendo que alcanzar a su par remoto, y esa consulta puede ocurrir en una tabla completamente distinta. Equivocarse aquí produce uno de los fallos más confusos en IPsec con conocimiento de VRF: el túnel se levanta, las rutas parecen presentes y el tráfico muere porque una de las dos consultas usó el contexto equivocado. Ejecute los cuatro pasos siguientes en orden y anote los dos destinos por separado.

Dos consultas, un túnel

El paquete encapsulado exterior se dirige a la dirección de transporte del par y se enruta antes de que exista cualquier protección. El paquete interior se dirige a un servidor del cliente y se enruta tras la desencapsulación, dentro del contexto del cliente. Son dos destinos, dos consultas y a menudo dos tablas distintas.

La documentación de Cisco para IPsec con conocimiento de VRF los llama VRF de puerta frontal y VRF interior. La puerta frontal transporta el tráfico cifrado y el contexto interior transporta el tráfico protegido. Nada de poner a un túnel el nombre de un cliente hace que aparezca ninguna de las dos rutas.

Así que enumere cuatro datos antes de cambiar una configuración: la dirección de transporte del par y el contexto que llega a ella, después el prefijo del servidor y el contexto que llega a él. Si no puede completar los cuatro, está a punto de adivinar. Adivinar en esta área es caro, porque una ruta añadida a la tabla equivocada puede hacer funcionar un flujo mientras rompe otro en silencio. Los cuatro datos tardan diez minutos en recopilarse y ahorran un día de análisis de capturas.

Confirme la consulta de transporte del par

Empiece por la puerta frontal, porque un túnel que no puede alcanzar a su par nunca dejará pasar un solo paquete protegido. En IOS, pida la ruta hacia el par dentro del VRF de transporte en lugar de la tabla global.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

El primer comando responde si la dirección del par es alcanzable en ese contexto, el segundo enumera los VRF que existen realmente y el tercero muestra si se formó una asociación de seguridad. Una dirección de par que solo se resuelve en la tabla global es el error clásico de la puerta frontal, y se presenta como una negociación IKE que nunca comienza.

Compruebe también la asignación de interfaz. El comportamiento documentado exige que el VRF de puerta frontal del túnel y el VRF de la interfaz WAN coincidan; una discrepancia puede dejar salir un paquete y aun así impedir que la respuesta se procese en el contexto correcto.

Confirme la consulta interior del servidor

Con la puerta frontal demostrada, cambie al contexto del cliente y haga la misma pregunta sobre el prefijo del servidor. Esta consulta decide si un paquete desencapsulado puede reenviarse más allá.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

El primer comando muestra la ruta interior y el segundo muestra el estado de la sesión junto con los contextos que la plataforma le asoció. Si la ruta existe pero el detalle de la sesión nombra el contexto interior equivocado, el túnel está reenviando a una tabla que no conoce el prefijo del cliente.

Una ruta en la tabla global no es prueba para ninguna de las dos consultas. Las rutas globales se usan cuando un paquete no está asociado a un VRF, y una interfaz de túnel asignada a un contexto de cliente cambia esa asociación. Si falta la ruta interior, el paquete se desencapsula y luego se descarta por falta de una entrada de reenvío, lo que parece pérdida de paquetes y no un error de enrutamiento.

Coloque el ajuste donde el modelo lo espera

La misma documentación distingue modelos de configuración, y un ajuste que pertenece a uno no pertenece necesariamente a otro. En interfaces de túnel con protección de túnel, el VRF interior se define en la interfaz de túnel. En diseños basados en crypto map, el VRF interior forma parte de la entrada de crypto map. Mover un comando de nombre similar entre modelos sin comprobar su función es la forma en que un diseño que funciona se vuelve intermitente.

Enrutamiento e identidad son asuntos separados. La alcanzabilidad nunca sustituye a un perfil de par que el dispositivo acepte, y un cambio de nombre de VRF no debe alterar las credenciales ofrecidas. Compruebe ambas cosas tras cualquier cambio, porque un túnel que negocia con el perfil equivocado aún puede formar una asociación y no reenviar nada.

Por último, registre los cuatro datos y los comandos que los demostraron en el registro de cambios. El siguiente ingeniero heredará el túnel y no el razonamiento, y una nota breve que nombre ambos contextos vale más que un diagrama que nadie actualiza.